Një profil, dy pronarë: NetworkManager ose systemd

Asgjë nuk ndodh me një skedar .ovpn derisa diçka ta zotërojë. Në një desktop Pi, pronarët e mundshëm janë NetworkManager, i cili ruan një lidhje të importuar në skedarin e vet të çelësave, dhe një njësi shërbimi e pavarur që lexon një konfigurim nga një drejtori. Këto janë dy modele funksionimi me ruajtje të ndryshme, trajtim të ndryshëm të kredencialeve dhe rregulla të ndryshme aktivizimi. Zgjedhja e qëllimshme e njërës prej tyre është e gjithë detyra; kopjimi i skedarit në të dy vendet thjesht e bën zgjedhjen aksidentale.

Të dy mund të punojnë në të njëjtën makinë, por jo në të njëjtin tunel në të njëjtin moment, dhe konflikti duket si një defekt rrjeti, jo si një defekt konfigurimi.

Dy mënyra për të zotëruar të njëjtin tunel

Shtojca OpenVPN e NetworkManager shton një redaktues dhe një shërbim që e administrojnë lidhjen për ju, dhe instalimi i programit OpenVPN nuk e instalon atë integrim. Një njësi e pavarur është rregullimi i kundërt: pa redaktues, pa integrim me desktopin, një skedar konfigurimi dhe privilegjet që jep njësia. E para e mban gjendjen e lidhjes në bazën e vet të të dhënave, e dyta e mban atje ku thonë profili dhe njësia. Pjesa më e madhe e konfuzionit vjen nga supozimi se një profil i importuar dhe një skedar i kopjuar janë i njëjti objekt.

Nuk janë dy pamje të një gjëje të vetme. Redaktimi i skedarit të shkarkuar nuk ndryshon as atë që NetworkManager ruajti, as atë që lexon njësia, dhe secili prej tyre mund të jetë ai që ndërtoi tunelin që sapo testuat.

Ndigni lidhjen që desktopi përdor vërtet

Operacioni i importimit i dokumentuar, nmcli connection import type openvpn file office.ovpn, krijon një lidhje përmes shtojcës. Shënoni UUID-në e saj dhe përdorni atë identifikues më pas, sepse emrat redaktohen dhe dy lidhje mund të ndajnë të njëjtën etiketë. nmcli connection show liston çfarë ekziston, dhe leximi i vetive të vetë lidhjes ju tregon nga cili skedar erdhi dhe çfarë ruan. Nëse UUID-ja që po redaktoni nuk është ajo që aktivizon desktopi, redaktimet tuaja janë thjesht dekor.

Sekretet jetojnë në depon e pronarit. Hedhja e çdo sekreti të ruajtur për të zbuluar cili profil është aktiv është e ngadaltë dhe e rrezikshme; pyesni objektin e lidhjes në vend të kësaj, dhe mbajeni materialin privat atje ku pronari e pret.

Një lidhje e importuar nuk ka nevojë për një sesion grafik për të punuar, por mund të ketë ende nevojë për një burim kredencialesh. Nëse niset pa mbikëqyrje varet nga lejet dhe sekretet e saj, jo nga prania e desktopit.

Lexoni shabllonin e njësisë përpara se të mbështeteni tek ai

Aty ku paketa ofron njësinë e klientit në stilin upstream, një instancë e quajtur office korrespondon me %i.conf në drejtorinë e konfiguruar të njësisë, e cila për shabllonin 2.6 është /etc/openvpn/client. Lexoni njësinë e instaluar dhe çdo skedar shtesë përpara se t'i besoni një shembulli nga një udhëzues, sepse shpërndarjet i zhvendosin shtigjet. Nisja me dorë nga një terminal nuk provon asgjë për mënyrën se si shërbimi i sheh skedarët, sekretet ose lejet. As dritarja e fjalëkalimit e desktopit nuk është provë që një njësi jointeraktive ka një mënyrë të miratuar për të marrë të njëjtin fjalëkalim.

Jepini njësisë vetëm atë që i nevojitet. Lëshimi i të gjithë sandbox-it të shërbimit sepse një skedar i referuar nuk lexohet ndërron një korrigjim të vogël lejeje me një ekspozim të madh, dhe gabimi zakonisht emërton skedarin që ka nevojë për vëmendje.

Tërhiqni dublikatin pa humbur aksesin

Nëse të dy pronarët mund ta nisin tunelin, njëri përfundimisht fiton në momentin e gabuar dhe rrugët e pajisja e të mundurit mbeten pas. Hiqni dublikatin aksidental përmes pronarit të vet, mbani hapur një rrugë rikuperimi, dhe konfirmoni që pronari i mbetur lidhet ende pas një rindezjeje. Dy VPN të ndara qëllimisht me politika të ndryshme rrugëtimi janë një pyetje tjetër projektimi, jo një leje që dy rrugë nisjeje të konkurrojnë për një lidhje.

Pastaj shkruani ciklin e jetës që pranuat: aktivizim me dorë, hyrje, ose nisje dhe rilidhje. Kontrolloni pikën fundore të ruajtur, autentikimin e palës tjetër dhe burimin që tuneli duhet të arrijë, sepse riinstalimi i desktopit nuk e zëvendëson dijeninë se cili konfigurim ekzekutohej.